미국 국가 표준기술원(NIST)은 조직의 표준 개발 프로세스를 검토할 계획이다. NSA가 NIST에서 승인한 암호 알고리즘에 백도어를 포함시켰다는 뉴스가 나왔을 때 NIST는 수개월 전부터 신뢰를 회복할 수 있는 방안을 찾고 있었다. NIST는 자체 프로세스를 공개해 공개적으로 검토받고 외부 기관에서도 검토를 받을 예정이다. NIST는 11월 1일 "공개 의견 및 독립적인 검토를 바탕으로 우리는 공개성 및 투명성 목적을 만족시킬 수 있도록 프로세스를 업데이트 할 것이며 가장 안전하고 신뢰받는 가이드가 될 수 있도록 선도할 것이다

스위스 통신사인 스위스컴은 스위스 내에서만 호스팅하는 스위스 클라우드를 구축할 계획이다. 이러한 계획은 NSA 및 GCHQ 기관에서 통신을 감청하는 것을 예방하기 위해서다. 스위스컴은 스위스 정부가 대부분의 소유하고 있다. 스위스는 이미 강력한 데이터 프라이버시 법을 시행하고 있으며, 이로인해 이미 안전한 통신을 제공하는 회사들은 자국내 데이터 센터를 사용하고 있다. 검사들은 감시를 하기 전에 법원의 영장을 반드시 받아야 한다. -www.theregister.co.uk/2013/11/04/switzerland/ [외신.

가장 최신의 파이어폭스 베타 버전은 모든 플러그인의 기본 상태를 클릭하면 실행하도록 변경했다. 이 기능으로 페이지가 열렸을 때 자동적으로 플러그인을 실행하지 않는다. 대신 사용자에게 페이지가 요구하는 플러그인이 취약할 수 있다는 경고를 보여준다. 사용자가 명시적으로 플러그인을 허가하는 경우에만 컨텐츠가 표시된다. 단 가장 최신의 플래시는 예외이다. 다른 브라우저도 플래시만 예외이다. 구글도 크롬 브라우저에 플래시를 포함해 항상 업데이트 하도록 해 사용자는 항상 최신의 버전을 실행한다. -www.theregister.co

중국 최대 옥션 사이트 타우바우(www.taobao.com)에서 공공연히 국내 포털 네이버(대표 김상헌)의 정상 계정을 판매하고 있는 것이 확인됐다. 타우바우는 회원수가 5억명을 넘고 있는 중국 최대 규모의 쇼핑몰이다. 매일 방문자 수가 6천만명을 넘고 있으며 평균 매분 4.8만개의 제품이 판매되는 사이트다. 이곳에서 네이버 사용자 계정이 버젓이 거래되고 있다. 데일리시큐는 타우바우 검색란에 ‘naver’를 입력하고 어느 정도의 판매가 이루어지는지 검색해 보았다. 그 결과 올라온 물품이 77건

구글 검색에 의한 민감 정보 노출 사고가 계속 발생하고 있다. 최근 이에프엠네트웍스(www.iptime.co.kr)의 제품 중 NAS(Network Attached Storage)의 파일 디렉토리가 검색에 의해 리스팅 되는 문제가 발생했다. 이 회사는 ipTIME NAS 제품에 대해 유·무선을 이용한 외부 인터넷, 내부 네트워크를 통해 시간과 장소에 관계없이 효율적인 파일 업로드 다운로드를 가능하게 하는 독립된 개인 파일 서버 장비라고 소개하고 있다. 한편 구글에서 특정 검색어로 검색을

인터넷강의 전문 P사이트(www.XXXedu.co.kr)에 SQL인젝션 취약점이 발견됐다. 이 취약점을 통해 사용자 계정 뿐만 아니라 중요 DB정보까지 위협을 받을 수 있어 보안조치가 필요한 상황이다. 이번 취약점을 발견하고 데일리시큐에 제보한 윤성권(월산중) 군은 “SQL인젝션을 악용하면 사용자 아이디와 패스워드 및 주민번호, 휴대폰 번호 등을 탈취할 수 있는 상황”이라며 “더욱이 해당 사이트는 패스워드가 암호화되어 있지 않아 심각한 상태”라고 경고했다. 데일리시큐는 접수된 해당 취

생명보험협회의 개인질병정보 불법유출에 대해 소비자들이 손해배상 공동소송에 나섰다. 보험금을 청구하는 경우 개인 질병정보를 불법으로 수집해 조회해 소비자권익을 심각히 침해했다는 것이다. 금소연이 원고단 결성 지원하고 법률지원단이 수임료 없이 무료 변론하며, 소비자는 대법원(3심)까지 인지대 등 법원에 내는 실비 5천원만 부담하면 된다. 금융소비자연맹(상임대표 조연행, 이하 ‘금소연’)은 “소비자가 보험금 청구 시, 생명보험회사가 취득한 질병정보를 생보협회에 제공하고, 개인 동의를 받지도 않고 불법으로 다른 보험사에 제공한 것으로 드러

11월 1주차에 발견된 악성코드 유포지와 신규 악성링크 경유지가 지난주에 비해 대폭 증가한 것으로 조사됐다. 특히 발견된 신규 악성링크는 지난주 활발했던 IE 제로데이 악용 공격이 다소 감소한 반면 공다팩 사용률이 증가했다. 11월 첫주 주간 동향 브리핑을 발표한 빛스캔(대표 문일준)은 “이번주는 공다팩이 3중으로 사용되는 멀티스테이지 공격이 발생한 가운데 8월부터 나타난 동일 바이너리로 연결하는 악성링크도 재출현했다”며 “지속적인 탐지 회피를 위한 바이너리 및 악성링크를 반경하는 정황도 포착됐다”고 설명했다. 또한 “발견된 바이너

내부자 위협 대처를 위해 현재 활용되고 있는 기술과 기존 보안 프로세스간에 큰 차이가 있는 것으로 나타났다. 보메트릭이 700명의 대기업 IT관리자를 대상으로 실시한 설문조사 결과에 따르면, 응답자의 27%만이 권한을 가진 사용자의 데이터 접근을 막기 위해 검증된 내부자 공격 대응 방법을 활용하고 있으며, 응답자의 66%는 경계선 보안에 중점을 둔 네트워크 침입 탐지 및 방지 툴을 사용해 내부자 위협을 식별하고 방지하고 있다. 보메트릭과 이번 설문조사를 공동 진행한 엔터프라이즈 전략 그룹의 존 올칙 선임 애널리스트는 “IT 관리자들

한국인터넷진흥원, 포털 네이버, 보안업체 안랩이 날로 심각해가는 악성코드 확산 방지를 위해 공동 대응에 나선다. KISA, 네이버, 안랩은 최근 인터넷 익스플로러(IE, Internet Explorer)의 취약점을 악용해 디도스(DDoS, Distributed Denial of Service, 분산서비스거부) 유발 및 계정 정보유출 등을 시도하는 악성코드가 확산됨에 따라 이용자 피해 방지를 위해 공동 대응을 추진한다. 이 악성코드는 지난 10월 발견된 IE 취약점(CVE-2013-3897)을 악용한 것으로, 현재 마이크로소프트에서는

전세계 ‘어나니머스(Anonymous)’ 소속 해커들이 11월 5일, ‘가이 포크스 데이(Guy Fawkes Day)’를 맞아 온라인과 오프라인에서 각종 시위를 벌일 계획인 것으로 알려진 가운데 이미 일부 국가에서는 공격이 감행된 것으로 전해졌다. 가이 포크스는 가톨릭 탄압에 항의해 1600년대 초 영국 의회를 폭발시키려다 발각돼 처형당한 인물로 체제 전복과 저항을 위해 노력하는 내용의 영화 ‘브이 포 벤데타(V For Vendetta)’의 소재가 되면서 해커들에게 저항의 상징으로 받아들여지고 있다. 앞서 어나니머스는 공식 페이스북

기초영어 XXX잉글리쉬 사이트 공지게시판 부분에 블라인드 SQL인젝션 취약점이 발견됐다. Blind SQL injection 취약점이란 악의적인 문자를 삽입해 쿼리결과로 나오는 참 혹은 거짓에 따라 DB를 공격하는 기법이다. 쿼리인젝션과 비슷한 공격으로 SQL구문을 필터링 하지 않아 기타 오류정보를 획득해 DB를 빼오거나 빼온 DB로 관리자 계정까지 획득할 수 있어 신속한 보안조치가 필요하다. 해당사이트(위험성으로 인해 사이트 실명은 미공개)의 취약점을 발견하고 데일리시큐에 11월 4일 제보 해 온 이예랑(0xyzen 소속) 군은

넥슨 사이트에서 쿠키로 로그인을 시도하면 보통 로그아웃 시켜버리지만 이 로그아웃을 회피할 수 있는 취약점이 존재한다는 제보가 들어왔다. 즉 쿠키가 탈취 당했을 경우 계정이 해킹당할 수 있기 때문에 신속한 조치가 필요하다. 해당 취약점을 발견하고 데일리시큐에 11월 2일 제보해 온 조성준(영덕중) 군은 “XX툴바(툴바명은 X로 처리)를 이용해 쿠키로 로그인하면 로그아웃이 된다. 하지만 XX툴바를 이용해서 쿠키를 수정할 수 있다”며 “IL이 1로 되어있었지만 이것을 0으로 수정하고 쿠키를 붙여넣어 적용시켜 새로고침하면 더 이상 로그아웃

해커그룹 어나니머스(anonymous)가 유튜브에 동영상 발표했다. 내용은 "싱가포르 정부가 왜곡된 뉴스보도했기 때문에 네트워크 공격을 통해 경고한다"는 내용이다. 동영상을 보면 가면을 쓴 해커가 "싱가포르 정부가 매번 국민의 알 권리를 박탈하고 있어, 네트워크 공격을 통해 경제적인 손실을 조성하게 할 것"이라는 경고메시지가 담겨있다. 해당 동영상은 곧 삭제되었지만 현재 백업된 동영상을 확인 할 수 있다. 11월 1일, 자칭 ‘messiah’라는 해커가 정부와 밀접한 관계를 유지해온 홈페이지를 공

모 호스팅 업체 회원가입 페이지가 브루트포스 공격에 취약한 것으로 드러났다. 이를 방치할 경우 주민번호 탈취도 가능해 신속한 조치가 필요한 상황이다. 해당 취약점을 발견하고 데일리시큐에 제보한 조성준(영덕중) 군은 “다른 사이트들은 대부분 주민번호의 입력횟수가 제한되어 있거나 정부에서 지원하는 siren24 등의 서비스를 이용하는데 이 호스팅 업체는 이러한 서비스를 이용하지 않았고 주민번호 입력 횟수에 제한을 두지 않아서 브루트 포스 공격에 취약하다”고 제보했다. 조 군은 “이러한 취약점을 계속 방치해둘 경우, 주민번호가 탈취로 이

마이크로소프트 컴퓨터신뢰성센터의 마이크 레비 부장에 따르면, 윈도 XP를 사용하는 컴퓨터는 윈도 8 컴퓨터보다 악성코드 감염 확률이 6배 이상 높은 것으로 나타났다. 문제는 마이크로소프트가 12년 된 윈도 XP 운영체제에 대해서 지원을 중단하는 2014년 4월에 더 악화된다. 4월 8일 이후 윈도 XP가 감염될 확율은 66% 더 증가할 것이라고 예측하고 있다. -www.v3.co.uk/v3-uk/news/2303629/windows-xp-six-times-less-secure [외신. 2013. 10. 30. SANS

최근 어도비사 시스템 침해사고로 피해를 입은 등록된 어도비 제품 사용자가 3,800만명 이상으로 증가한 것으로 추정된다. 이 침해사고는 처음 10월 초에 밝혀졌다. 그 당시 어도비는 공격자가 암호화된 신용카드 정보 300만개를 훔쳤다고 밝혔다. 피해를 입은 사용자 수 증가이외에, 어도비는 또한 이번 침해로 포토샵 소스코드가 해킹된 것 같다고 밝혔다. -krebsonsecurity.com/2013/10/adobe-breach-/ [외신. 2013. 10. 29. SANS Korea / www.itlkorea.kr]

미국 캘리포니아 로스엔젤레스(LA)는 에릭 가르세티 시장의 행정명령에 따라 완전히 새로운 사이버 침해지휘센터를 구축했으며 FBI 및 美비밀경호국(USSS)의 협조 및 가이드로 운영하고 있다. 이 센터의 미션은 시 부서 전체에 수준 높은 보안 표준을 적용하고 사이버 공격 신속하게 대응할 수 있는 단일 핵심 팀을 제공하는 것이다. -www.latimes.com/local/lanow/la-me-ln-garcetti-cyberattack- [외신. 2013. 10. 30. SANS Korea / www.itlkorea.kr]

미국 이민세관국(ICE)은 소셜 엔지니어링 시험으로 정부의 정보보호 리더쉽 상 후보가 되었다. 이 계획은 사람들에게 전화를 걸어 패스워드를 말하도록 속이고, 피싱 이메일을 보내 인증 데이터를 받는 것이다. ICE 직원들은 2012년 겨울부터 교육을 받고 있다. 교육이전에는 약 50%가 시험에 당했다. 교육을 수료한 약 5,000명에서 소셜 엔지니어링 공격에 속은 직원은 20% 수준으로 감소하였다. -www.nextgov.com/cio-briefing/2013/10/ice-hacks-employees [외신. 2013.

개인용 스트리밍 음악서비스 사이트 아이멥스에 디렉토리 리스팅 취약점이 발견됐다. 이를 통해 다양한 정보 유출로 이어질 수 있어 주의해야 한다. 해당 취약점을 데일리시큐에 제보한 문승현(서산중) 군은 “구글에 특정 URL(기사에서는 공개 불가)을 검색하면 아이멥스의 디렉토리가 그대로 노출된다는 것을 발견했다”며 “확인결과 아이멥스 웹서버의 특정 파일과 디렉토리 목록이 모두 나열돼 있다”고 제보해 왔다. 확인 결과 실제로 아래와 같은 아이멥스 디렉토리가 구글에 그대로 노출된다는 것을 확인할 수 있다.